Cyber Resilience Act

Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die die Cybersicherheit von Hardware- und Softwareprodukten mit digitalen Elementen verbessern soll. Hersteller und Importeure werden verpflichtet, bereits bei der Planung, Entwicklung und Wartung solcher Produkte bestimmte Sicherheitsanforderungen einzuhalten und für regelmäßige Sicherheitsupdates zu sorgen. Ziel ist es, die wachsende Bedrohung durch unsichere vernetzte Geräte – vom Smart-Home-Gerät über industrielle IoT-Sensoren bis zu Software in kritischen Systemen – einzudämmen und Verbraucher wie Unternehmen besser zu schützen. Produkte, die unter den CRA fallen, müssen künftig eine EU-Konformitätserklärung zur IT-Sicherheit mitführen und das CE-Kennzeichen tragen, das ihre Erfüllung der neuen Cybersecurity-Anforderungen bestätigt. Ausnahmen gibt es für bereits anderweitig regulierte Bereiche (zB medizinische Geräte, Fahrzeuge oder Luftfahrt) sowie für reine Open-Source-Software. Der Cyber Resilience Act trat am 10. Dezember 2024 in Kraft und sieht eine Übergangsfrist vor: Ab 11. Dezember 2027 müssen die Vorgaben verpflichtend umgesetzt werden. Als EU-Verordnung gilt der CRA unmittelbar auch in Österreich; die nationalen Behörden (etwa im Rahmen der Marktaufsicht) werden für die Durchsetzung sorgen. Für bestimmte kritische Produkte mit hoher Relevanz für die Cybersicherheit verlangt der CRA zudem eine externe Prüfung und Zertifizierung durch eine zugelassene Stelle, bevor diese in der EU auf den Markt gebracht werden dürfen. Verstöße gegen die Pflichten des Herstellers können mit Sanktionen geahndet werden, um die Einhaltung zu gewährleisten. Mit diesem Regelwerk schafft die EU einen verbindlichen Rahmen für mehr „Security by Design“ und Wartungspflichten, damit die wachsende Zahl vernetzter Produkte nicht zum Sicherheitsrisiko für Verbraucher und kritische Infrastruktur wird.